August 2012 - postfix-users

[postfix-users] Geht das überhaupt?
by tobster＠brain-force.ch 30 Aug '12

30 Aug '12

Hallo zusammen sitze hier gerade an einem kleinen Problem: wir haben die letzten Tage massiv Phishings auf Kundenaccounts gehabt (und viele Kuden sind/waren leider so blöd das PW einzugeben). Die Mails sind eigentlich immer gleich aufgebaut, der Sender steht in dieser Form << domain-alert <irgendwas@nichtDomain> >> Jetzt dachte ich mit RegExp müsste man dem eigentlich Herr werden können. Also einen RegExp gemacht der prüft ob domain vorkommt und wenn ja zusätzlich prüft ob @domain in der Adresse vorkommt. Wenn nicht dann wegschmeissen bzw verweigern. Diesen Check habe ich in die smtpd_sender_restrictions mittels sender_access eingebaut Nach einigen Tests scheint es mir als würde Postfix nur alles zwischen < und > erhalten und prüfen. Den domain-alert Teil vornedrann erhält Postfix scheinbar ned, zumindest konnte ich nichts in den Logs finden. Damit kann ich meinen RegExp natürlich vergessen. gibt es eine Möglichkeit, dass Postfix auch den String vor < und > zur Prüfung bekommt? Oder anders gefragt: was ist denn der beste Weg diese Phishers möglichst zu verweigern? Es ist mir klar, dass man sicher nicht alle Fälle abfangen kann, aber wenn es nur ein paar wären wäre schon viel getan :-) Danke vielmals für jede Idee Gruss tobi

6 7

[postfix-users] Statistik mit pflogsumm
by Margrit Lottmann 30 Aug '12

30 Aug '12

Nutzt noch jemand dieses Programm??? Ich habe ein Problem: Unsere Mailrelay-Server (natuerlich postfix) schicken angenommene Mails zuerst ueber 127.0.0.1:10025 an einen Filter-Service (PureMessage von Sophos). Damit ist die Queue-ID weg... Ueber 127.0,0.1:10026 kommt die Mail nach der Inhaltspruefung zurueck (Viren nicht). Sie erhaelt eine neue Queue-ID. Ich muss also sagen, dass eine Mail, die wirklich letztendlich zugestellt wird 2x gezählt wird. Wenn ich per pflogsumm jeden tag des Monats auswerte, habe ich eine Verfaelschung der Daten. Einfach die gemessenen Mails und Groessenmengen des Tages halbieren ... erscheint mir auch zu einfach. Kann ich irgendwie die log-Daten filtern, dass ich 1x die Port-25-Daten habe und einmal die von Port 10026 ??? Koennte man in der master.cf bei den entsprechenden smtpd- Definitionen separate log-Dateien angeben ??? Ev. muss ich auch pflogsumm (perl) modifizieren ! ? Ueber Tipps wuerde ich mich freuen!!! -- MfG Margrit Lottmann Otto-von-Guericke-Universitaet Magdeburg Abt. Anwendungen Tel.: 0391 67 58572 Fax: 0391 67 11134

4 3

Re: [postfix-users] Relay von Local?
by Matthias Schmidt 25 Aug '12

25 Aug '12

Am 25.08.2012 um 18:03 schrieb Uwe Drießen: > Im Auftrag von Matthias Schmidt >> >> Am 25.08.2012 um 15:29 schrieb Uwe Drießen: >> >>> Im Auftrag von Matthias Schmidt >>>> Hallo, >>>> seit gestern bekomm ich von postfix solche Mails (s.u.). >>>> Ich versteh's nicht ganz, die Mails sollten ja bereits hier abgewiesen >>> werden: >>>> smtpd_recipient_restrictions = >>>> >> permit_sasl_authenticated,permit_mynetworks,reject_unauth_destination, >>>> permit >>>> >>> >>> Zeig mal die logzeilen zu der Mail. >>> >>> >>> Und was soll das letzte permit ???? >>> >>> Damit nimmst du alles an von denen die nicht sasl_autenticated, nicht > aus >>> deinem Netzwerk kommen an. >>> >>> Da müsste dann ein reject stehen wenn nur eigene User darüber schicken >>> dürfen !! >> >> da schiess ich mich ins Bein, denn dann kommen keine Mails mehr an ... >> Irgendwo ist da ein Loch ... das Zauberkraut muss also ein anderes sein > ;-) > > Lass das letzte permit einfach weg. Was bis dahin nicht abgelehnt wurde wird > eh angenommen > Und schau dir die 2 Mail von mir an da steht noch ein wenig mehr drin das du > umsetzen kannst. > > Und um evtl. zu sehen warum die Mail angenommen wurde wird das log > benötigt! > das hab ich in dem langen Mail gepostet (die 4. im Thread). Du meinst also alles was ich unter smtpd_client_restrictions und smtpd_sender_restrictions in smtpd_recipient_restrictions reinzupacken? Gruss Matthias

2 1

[postfix-users] Relay von Local?
by Matthias Schmidt 25 Aug '12

25 Aug '12

Hallo, seit gestern bekomm ich von postfix solche Mails (s.u.). Ich versteh's nicht ganz, die Mails sollten ja bereits hier abgewiesen werden: smtpd_recipient_restrictions = permit_sasl_authenticated,permit_mynetworks,reject_unauth_destination,permit das sind die weiteren smtpd Einstellungen: smtpd_pw_server_security_options = login,gssapi,cram-md5 data_directory = /var/lib/postfix smtpd_client_restrictions = permit_sasl_authenticated permit_mynetworks check_sender_access hash:/etc/postfix/whitelist reject_non_fqdn_hostname reject_unknown_reverse_client_hostname reject_rbl_client cbl.abuseat.org reject_rbl_client zen.spamhaus.org permit smtpd_sender_restrictions = check_sender_access regexp:/etc/postfix/tag_as_originating.re permit_mynetworks permit_sasl_authenticated permit_tls_clientcerts check_sender_access regexp:/etc/postfix/tag_as_foreign.re Das sind die Mails: Content type: Spam Internal reference code for the message is 57201-02/ghorrefFg9hP First upstream SMTP client IP address: [83.19.178.206] cys206.internetdsl.tpnet.pl According to a 'Received:' trace, the message apparently originated at: [61.8.92.97], Unknown [61.8.92.97] Return-Path: <bub8(a)jetxos.net> From: Uk.HALIFAX.internet.msg-notify###!-!securespecial(a)AT-MY-bgtr-279882394343150-TESTTESTNOW-LOCALHOSt.net Message-ID: <0ed1e2164567685-18915-37-e3(a)infonet.com> X-Mailer: Groupinculus Subject: Fraudulent banking activity! [HLF-ID;87n- August2012] Not quarantined. The message WAS NOT relayed to: <beth_92(a)hotmail.co.uk>: 250 2.7.0 Ok, discarded, id=57201-02 - SPAM SpamAssassin report: Spam detection software, running on the system "mcgregor.admilon.net", has identified this incoming email as possible spam. The original message has been attached to this so you can view it (if it isn't spam) or label similar future email. If you have any questions, see websensei(a)admilon.net for details. Content preview: Untitled Document We have detected fraudulent activity on your Halifax Internet banking account on 24/08/2012. For your protection, you must verify this activity before you can continue using your account. [...] Content analysis details: (15.6 points, 25.0 required) pts rule name description ---- ---------------------- -------------------------------------------------- 0.0 NO_DNS_FOR_FROM DNS: Envelope sender has no MX or A DNS records 0.0 FSL_HELO_NON_FQDN_1 FSL_HELO_NON_FQDN_1 0.9 DKIM_ADSP_NXDOMAIN No valid author signature and domain not in DNS 2.4 TVD_PH_BODY_ACCOUNTS_PRE BODY: TVD_PH_BODY_ACCOUNTS_PRE 1.5 HTML_IMAGE_ONLY_20 BODY: HTML: images with 1600-2000 bytes of words 0.3 HTML_MESSAGE BODY: HTML included in message 0.8 BAYES_50 BODY: Bayes spam probability is 40 to 60% [score: 0.4904] 0.7 MIME_HTML_ONLY BODY: Message only has text/html MIME parts 1.9 RAZOR2_CF_RANGE_E8_51_100 Razor2 gives engine 8 confidence level above 50% [cf: 100] 0.5 RAZOR2_CF_RANGE_51_100 Razor2 gives confidence level above 50% [cf: 100] 4.0 RAZOR2_CHECK Listed in Razor2 (http://razor.sf.net/) 0.8 RDNS_NONE Delivered to internal network by a host with no rDNS 0.0 HELO_NO_DOMAIN Relay reports its domain incorrectly 0.0 TO_EQ_FM_HTML_ONLY To == From and HTML only 0.0 TO_NO_BRKTS_NORDNS_HTML TO_NO_BRKTS_NORDNS_HTML 0.0 TO_EQ_FM_DIRECT_MX To == From and direct-to-MX 1.7 TO_EQ_FM_HTML_DIRECT To == From and HTML only, direct-to-MX Return-Path: <bub8(a)jetxos.net> Received: from [83.19.178.206] (cys206.internetdsl.tpnet.pl [83.19.178.206]) by mcgregor.admilon.net (Postfix) with ESMTPA id DA5C51D0A388 for <beth_92(a)hotmail.co.uk>; Sat, 25 Aug 2012 00:47:00 +0900 (JST) X-GB-From: Uk.HALIFAX.internet.msg-notify###!-!securespecial(a)AT-MY-bgtr-279882394343150-TESTTESTNOW-LOCALHOSt.net X-OriginalArrivalTime: Fri, 24 Aug 2012 15:46:48 GMT X-SEF-Processed: 5_0_0_116__9573_53_13_39_07_03 X-Mailer: Groupinculus Subject: Fraudulent banking activity! [HLF-ID;87n- August2012] To: beth_92(a)hotmail.co.uk X-GB-AV: none found (0 seconds) X-GB-AS-summary: 10,1,0,d41d8cd98f00b204,d41d8cd98f00b204,bub1(a)jetos.net,7834,3775,3425,3776,4070 X-GB-Rule: 40 X-TM-AS-Product-Ver: IMSS-faoggldegmhmu=7.1.0.4101-6.8.0.61.8.92.97-22055.450 From: Uk.HALIFAX.internet.msg-notify###!-!securespecial(a)AT-MY-bgtr-279882394343150-TESTTESTNOW-LOCALHOSt.net X-GB-AS: unknown, (score 10, 0 seconds) X-MIMETrack: Itemize by SMTP Server on notes/Unitar(Release 8.5.2|Sat,Fri, 24 Aug 2012 15:46:48 GMT GMT) at X-TM-IMSS-Message-ID: <trfmuovk0851-52e3(a)infonet.com> 1241;: $21412:$;21412;4;2142949;::$219429:::424204021 Received: from Unknown [61.8.92.97] by srv02.wicerhla.co.uk - SurfControl E-mail Filter (5.0.1); Fri, 24 Aug 2012 15:46:48 GMT X-GB-To: beth_92(a)hotmail.co.uk X-imss-scan-details: No--0.158-5.0-18-1 Defensive: Filters MIME-Version: -2.1 Message-ID: <0ed1e2164567685-18915-37-e3(a)infonet.com> X-TM-AS-Result: No--0.730-5.0-31-1 Content-Type: text/html Date: Fri, 24 Aug 2012 15:46:48 GMT X-GB-Received: From (beth_92(a)hotmail.co.uk-61.8.92.97) ---> ftp <--- X-Sender: Buuuucifer Kann ich das irgendwie unterbinden? Danke und noch ein schönes Wochenende Matthias

2 3

[postfix-users] Mail hängt in der Ausgangs Queue
by Christian Krützfeldt 17 Aug '12

17 Aug '12

Hallo, wir haben ein Problem bei Mail mit Anhängen (egal wie groß oder wie klein). Das Problem mal gehen die Mails raus, mal aber auch nicht und wenn erstmal eine hängt dann bleiben fast alle Mails mit Anhang in der Queue hängen. Ich hab unten zwei Beispiele angehängt wie das ganze in "mailq" aussieht. Ich konnte bis jetzt nicht feststellen das "postfix stop" und "postfix start" helfen. Die einzige Lösung die immer hilft ist "reboot" gefolgt von einem "postfix flush", wenn mehrere Mails hängen müssen auch mal mehrere reboots gemacht werden. Meine Vermutungen bis jetzt waren das es irgendwie mit der MTU Einstellung der Servers bzw. der Einstellung des nächsten Servers zusammenhängt, aber irgendwie hab ich da nichts näheres gefunden und kleinere bzw größer MTU werte haben nichts gebracht. Wäre sehr über Tipps dankbar wie ich das Problem entweder lösen oder doch mindestens etwas genauer lokalisieren kann. Christian -Queue ID- --Size-- ----Arrival Time---- -Sender/Recipient------- 3DB111FFFF* 2706218 Fri Aug 3 11:07:28 aa.aa(a)balticfinance.de aaaaa(a)aaaaaa.de 675472723B 454891 Fri Aug 3 10:22:05 aaa(a)balticfinance.de (lost connection with maildo.versatel.de[89.245.133.5] while sending message body) aaaaa(a)foni.net Nach einen reboot ist 3DB111FFFF* raus gegangen, ein postfix flush hilft dann auch für 675472723B. Nur postfix flush hilft nicht (meistens zumindest). 2. Beispiel -Queue ID- --Size-- ----Arrival Time---- -Sender/Recipient------- 5865E27179* 74858 Fri Aug 3 17:37:08 aaa(a)balticfinance.de a.aaa(a)aaaa.de 47AFC1FFFE 343316 Fri Aug 3 17:33:11 aaa(a)balticfinance.de (conversation with mail.caurus.de[85.13.144.89] timed out while sending message body) aaaa(a)caurus.de Nach einem reboot sind beide mails rausgegangen.

4 10

[postfix-users] Einstellung zum Schutz vor Masssenmails
by francwalter＠gmx.net 12 Aug '12

12 Aug '12

Hallo ich habe einen Postfix 2.9.3-2 auf Ubuntu 12.04 laufen und gerade das Problem, dass ein Massenmail (Serienmail mit über 500 Adressaten) das über eine Warenwirtschaft (Büro Plus Next) versendet wird, dort sehr schnell mit unklaren Fehlermeldungen abgebrochen wird. Dort heißt es zuerst: “E-Mail versenden abgebrochen! E-Mail 10 von 10 versenden fehlgeschlagen. Unknown” und dann: “Verbindung mit SMTP Server fehlgeschlagen. Already connected”. Einzelne Mails lassen sich über diesen Serienmailer aber versenden, es muss an den vielen Mails liegen (über 500 Stück). Im Mail-Log des Servers ist kein Hinweis auf eine Ablehnung, ein paar Mails des Serienmails sind dort zu finden, aber dann hört es auf. Kein Fehler dort. Gibt es vielleicht eine Postfix Einstellung, mit der man solche Massenmails abblocken könnte? Ich erinnere mich nicht, so etwas eingestellt zu haben, finde auch nichts dazu. Gibt es so eine Einstellung überhaupt? Gruß franc walter

5 9

[postfix-users] Postfix DNS Frage
by Matthias Schmidt 10 Aug '12

10 Aug '12

Hallo, was ich bisher mache: die Nicht-virtuelle-domain hat den mx record als mc.domain.net, so heisst auch der Server jede virtuelle domain hat als mx mc.domain.net es gibt dann noch einen spf record, da der reverse pointer auf 1-2-3-4-provider-me auflöst. Jede virtuelle domain hat allerdings mind. einen A-Record. Was ich gerne machen würde wäre, dass als sender die virtuelle domain erscheint und im dns den mx entsprechend auf einen A-Record der virtuellen zu setzten. Soweit ich weiss geht das nicht ... oder doch und wenn ja wie? Dank und Gruss Matthias

2 1

[postfix-users] ML - Mailadressen Namens-Konflikt
by Matthias Schmidt 07 Aug '12

07 Aug '12

Hallo, ich hab hier ein kleines Problem: ich hab eine email adresse mit virtueller domain und eine mailing liste mit einer anderen virtuellen domain. E-Mailadresse und mailingliste haben den gleichen Anfang. Jetzt stellt mir postfix alle emails an diese email-adresse an die mailingliste zu, dort kommen sie aber erst gar nicht an. Das Problem ist, dass der Kurzname der mailadresse in OD "a" ist und die mails an die Liste im Prinzip an a@serverrname zugestellt werden. Der Server ist ein MacOS 10.6.8 Irgendeine Idee, wie ich postfix beibringen kann, mails an a(a)domain1.com und a(a)liste.com richtig zu zustellen? Dank und Gruss Matthias

2 2